Cherrypy不使用缓存对每个请求进行身份验证

Question

我编写了一个cherrypy服务器以便于文件下载，并使用cherrypy auth digest对其进行身份验证。其配置为：

conf = {
   '/getXML': {
        'tools.auth_digest.on': True,
        'tools.auth_digest.realm': None,
        'tools.auth_digest.get_ha1': auth_digest.get_ha1_dict_plain(USERS),
        'tools.auth_digest.key': <some_key>
   }
}

那把钥匙的作用是什么？在

另外，在成功验证后，当我再次访问服务器时，它会记住登录，并且不会再次提示输入凭据。如何在不记住登录的情况下请求每个请求的凭据？在

Answer 1

把密钥想象成会话id。一旦用户访问你的站点，你就生成它。。。在

cherrypy.session['_csrf_token'] = ''.join(random.choice(string.ascii_uppercase + string.digits) for x in range(16))

然后在用户的cookies中设置该id，然后比较这两个键以确保您拥有相同的用户。这就是使用'工具.sessions.on'：是的，设置在cherrypy中。这允许您在诸如http的无状态环境中从一个页面了解到另一个页面。在

https://cherrypy.readthedocs.org/en/3.3.0/refman/lib/auth_digest.html#cherrypy.lib.auth_digest.HttpDigestAuthorization.validate_nonce

^{pr2}$

看来用auth digest强制注销是不可能的。。。在

https://groups.google.com/d/msg/cherrypy-users/M-GUFH2mU_M/45zHnA5Y6XMJ

下面是关于摘要式身份验证的更多详细信息。。。在

What is digest authentication?

但这是一个简单的授权，你可以强制注销。。。在

How to logout from a simple web appl. in CherryPy, Python

希望这有帮助！在